ISO/IEC 27090, EN 18286 in IEEE 2863: trije novi standardi za upravljanje UI v letu 2026 na kratko

Trije standardi v treh dneh: zakaj je oktober 2026 pomemben za upravljanje UI

Med 14. in 16. oktobrom 2026 so hkrati začeli veljati trije standardi za upravljanje UI: ISO/IEC 27090:2026 je bil objavljen 14. oktobra, EN 18286:2026 je bil isti dan kot prvi harmonizirani standard po Aktu EU o umetni inteligenci (AI Act) naveden v Uradnem listu EU, IEEE 2863-2026 pa je sledil 16. oktobra. Tri organizacije, trije pogledi, ena tema: kako lahko organizacije razvijajo in uporabljajo UI varno, skladno s predpisi in odgovorno?

Za organizacije, ki UI razvijajo ali uporabljajo, so vredni pozornosti vsi trije. Pokrivajo različne ravni – tehnologijo, regulativo in organizacijo – in se med seboj bolj dopolnjujejo, kot si konkurirajo. Ta članek pojasnjuje, kaj standardi vsebujejo, za koga veljajo in kaj je treba storiti zdaj.

Trije standardi na kratko

ISO/IEC 27090:2026 – Kibernetska varnost sistemov UI

ISO/IEC 27090:2026 je prvi mednarodni standard, ki je v celoti posvečen varnostnim grožnjam za sisteme UI. Njegov polni naslov je Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Pripravil ga je odbor ISO/IEC JTC 1/SC 27, ki stoji tudi za ISO/IEC 27001. Zapis standarda pri ISO

Poudarek je na zaščiti sistemov UI, ne na uporabi UI za obrambo pred drugimi napadi. Standard opisuje, kateri napadi so značilni za modele, učne podatke in delovne tokove UI, kako jih zaznati in kako se jim zoperstaviti v celotnem življenjskem ciklu. Mednje sodijo:

• Zastrupljanje podatkov (data poisoning): manipulirani učni podatki, ki spremenijo vedenje modela
• Eksfiltracija modela: pridobivanje modela z navidezno legitimnimi poizvedbami
• Napadi izogibanja (evasion), membership inference, inverzija modela in neposredno zastrupljanje modela
• Prompt injection ter občutljivi ali škodljivi izhodi modela

ISO/IEC 27090 obravnava tudi prečne teme, kot so modeliranje groženj, red teaming, zero trust, varnost dobavne verige, beleženje in spremljanje ter to, kako modeli in zaščitni ukrepi sčasoma zastarajo. Njegovo vodilno načelo je obramba v globino (defence in depth): več plasti zaščite, ker je nekatere napade na UI težko zaznati. Razlaga ISO 27090 pri ISO

Pomembno razlikovanje: ISO/IEC 27090 so smernice, ne standard z zahtevami, ki bi ga bilo mogoče certificirati. Obstoječi ISMS po ISO/IEC 27001 in sistem upravljanja UI po ISO/IEC 42001 dopolnjuje z varnostnimi vidiki, značilnimi za UI. Za varnostne ekipe je naravna vstopna točka za vključitev tveganj UI v obstoječe procese. Več o tem v člankih ISO 27090 pojasnjen za ekipe za varnost UI in ISO 27090 in ISO 42001: razlike pojasnjene.

EN 18286:2026 – Sistem vodenja kakovosti za Akt EU o umetni inteligenci

EN 18286:2026 je prvi harmonizirani standard po Aktu EU o umetni inteligenci – in zato med tremi tisti z največjo pravno težo. CEN in CENELEC sta standard Artificial intelligence – Quality management system for EU AI Act regulatory purposes objavila julija 2026. Evropska komisija ga je 14. oktobra 2026 navedla v Uradnem listu EU z Izvedbenim sklepom (EU) 2026/2274.

Prav ta navedba je odločilni korak. Po 40. členu Akta o UI ponudniki, ki uporabljajo harmonizirani standard, objavljen v Uradnem listu, uživajo domnevo o skladnosti z zahtevami, ki jih ta standard zajema. Konkretno gre za 17. člen: ponudniki sistemov UI visokega tveganja morajo vzdrževati dokumentiran sistem vodenja kakovosti. Po posodobljeni časovnici se ta obveznost uporablja od 2. decembra 2027 za sisteme visokega tveganja iz Priloge III in od 2. avgusta 2028 za sisteme visokega tveganja v reguliranih proizvodih iz Priloge I. Časovnica Akta o UI Evropske komisije EN 18286 to obveznost pretvori v zahteve, ki jih je mogoče presojati, med drugim:

• Nadzor nad načrtovanjem in razvojem
• Obvladovanje tveganj in upravljanje podatkov
• Dokumentacija in zapisi
• Spremljanje po dajanju na trg in obravnava incidentov

Organizacije naj upoštevajo tri stvari. Prvič: uporaba standarda ostaja prostovoljna; skladnost je mogoče dokazati tudi drugače – le brez domneve o skladnosti. Drugič: domneva o skladnosti velja le za zahteve, ki jih standard dejansko obravnava, ne za celoten Akt o UI. Tretjič: ISO/IEC 42001 ga ne nadomešča. Mednarodni standard za sisteme upravljanja UI je sicer mogoče certificirati, vendar ni harmonizirani standard in ne ustvarja domneve o skladnosti. Organizacije, ki že imajo sistem po 42001, imajo dobro izhodišče, vendar morajo svoje procese preslikati na EN 18286. Nemko Digital o EN 18286

Nadaljnji harmonizirani standardi za obvladovanje tveganj, kakovost podatkov, preglednost, človeški nadzor in kibernetsko varnost so v pripravi, vendar še niso navedeni. EN 18286 je trenutno edina referenca na Akt o UI v Uradnem listu. Kako razvrstiti svoje primere uporabe UI po Aktu o UI, preberite v članku Akt EU o umetni inteligenci: razvrstite primere uporabe in načrtujte dokazila.

IEEE 2863-2026 – Organizacijsko upravljanje UI

IEEE 2863-2026 začne eno raven višje: pri vprašanju, kako lahko organizacija kot celota odgovorno upravlja UI. IEEE Recommended Practice for Organizational Governance of Artificial Intelligence je IEEE Standards Association objavila 16. oktobra 2026 – po več kot šestih letih razvoja (začetek projekta februarja 2020, potrditev odbora junija 2026). Stran standarda pri IEEE SA

Standard je namenjen upravljavskemu organu organizacije – upravi, upravnemu odboru ali nadzornemu svetu – in ima tri gradnike:

1. Načela upravljanja, ki naj jim organ da prednost
2. Procese, ki ta načela prenesejo v prakso
3. Študije primerov konkretnih aplikacij UI, ki kažejo, kako procesi uresničujejo načela – vključno s tem, kako razrešiti spore med načeli

Ključne teme, ki jih navaja IEEE, segajo od odgovornosti, preglednosti, razložljivosti in človeškega nadzora prek zasebnosti, varnosti in nediskriminacije do trajnosti in dobrobiti. Na strani procesov vključujejo presojo, red teaming, odzivanje na incidente, nadzor življenjskega cikla, upravljanje verige vrednosti, krepitev kompetenc in vključevanje deležnikov.

Kot Recommended Practice IEEE 2863 podaja priporočila, ne zahtev, ki bi jih bilo mogoče certificirati. Njegova vrednost je v povezovanju abstraktnih etičnih načel s konkretnimi procesi odločanja na ravni vodstva. Opisuje tudi, kako organizacije ravnajo z zunanjimi instrumenti upravljanja: regulativo, strokovnimi standardi, kodeksi ravnanja in pričakovanji javnosti glede odgovorne UI.

Kako se trije standardi povezujejo

Trije standardi obravnavajo tri ravni, ki se v praksi prekrivajo:

Naravna skupna osnova je ISO/IEC 42001. Sistem upravljanja UI zagotavlja strukturo, v katero je mogoče umestiti načela upravljanja (IEEE 2863), regulativne zahteve za sistem vodenja kakovosti (EN 18286) in varnostne ukrepe (ISO/IEC 27090). EN 18286 je strukturno usklajen z ISO/IEC 42001, ne da bi ga nadomeščal; ISO/IEC 27090 se sklicuje na 42001 kot okvir upravljanja; IEEE 2863 opisuje raven upravljanja nad njim. Kdor tri standarde obravnava ločeno, iste procese zgradi trikrat – kdor jih razume kot plasti enega sistema, prihrani delo in se izogne protislovjem.

Kaj naj organizacije storijo zdaj

Prednostne naloge so odvisne od vaše vloge v verigi vrednosti UI:

• Ponudniki UI visokega tveganja v EU: pridobite EN 18286 in izvedite analizo vrzeli glede na obstoječi sistem vodenja kakovosti. Če že delate po ISO 9001, ISO 13485 ali ISO/IEC 42001, lahko elemente Akta o UI vključite, vendar morate preslikavo dokumentirati.
• Varnostne ekipe: popišite sisteme UI – tudi tiste, pridobljene od tretjih oseb. Razjasnite, od kod izvirajo podatki in modeli, razširite modeliranje groženj na napade, značilne za UI, in preverite, kako bi bilo sumljivo vedenje modela zaznano in obravnavano. ISO/IEC 27090 ponuja kontrolni seznam.
• Uprave in nadzorni sveti: uporabite IEEE 2863 kot okvir za mandat za upravljanje UI – določite načela, dodelite odgovornosti, opredelite poročevalske linije in o kompromisih odločajte izrecno.
• Vsi: spremljajte nadaljnje harmonizirane standarde. EN 18286 je začetek; sledili bodo standardi za obvladovanje tveganj, kibernetsko varnost in beleženje.

ISO/IEC 27090 in EN 18286 sta plačljiva – ISO/IEC 27090 v trgovini ISO Store, EN 18286 pri nacionalnih organih za standardizacijo (v Nemčiji pri DIN Media). IEEE 2863 je brezplačno dostopen prek programa IEEE GET Program, lahko pa ga kupite ali do njega dostopate z naročnino pri IEEE SA.

Zaključek

Oktober 2026 pomeni v upravljanju UI premik od načel k standardom, ki jih je mogoče presojati. ISO/IEC 27090 konkretizira varnost UI, EN 18286 daje Aktu EU o umetni inteligenci prvi harmonizirani standard z domnevo o skladnosti, IEEE 2863 pa upravljanje UI zasidra na ravni vodstva. Kdor pozna vse tri, lahko varnost, skladnost in odgovornost obravnava kot en sistem – namesto kot tri ločene projekte.

Viri

• ISO/IEC 27090:2026 – vnos v katalogu in ISO/IEC 27090 explained (ISO)
• Izvedbeni sklep (EU) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16. oktober 2026)
• IEEE 2863-2026 – stran standarda (IEEE SA)